העברת מידע אישי לצד שלישי: נתוני שכר, ספקים וחוק הגנת הפרטיות

העברת מידע אישי לצד שלישי, למשל קובץ שכר שנשלח לבודק שכר חיצוני, מותרת. אבל רק אם יש הסכם בכתב עם הספק, מעבירים רק את מה שהבדיקה צריכה, והקובץ עובר בערוץ מאובטח. האחריות על המידע נשארת אצל המעסיק, גם אחרי שהקובץ יצא מהארגון.

התרחיש מוכר: ארגון רוצה לבדוק שאין פערים בתלושים או בהפרשות לפנסיה, ושוכר חברה חיצונית. מישהו בהנהלת החשבונות מייצא את כל כרטיסי העובדים לאקסל ושולח במייל. בשלב הזה כבר נעשו שלוש טעויות.

מי אחראי: בעל השליטה והמחזיק

• המעסיק הוא בעל השליטה במאגר. הוא קובע למה המידע משמש, והוא נושא באחריות המלאה לשמירה עליו.
• החברה החיצונית היא "מחזיק": גוף שמעבד את המידע בשביל המעסיק. גם עליה חלות חובות אבטחה וסודיות, ומותר לה להשתמש במידע רק למטרה שהוגדרה.

ההסכם: מה תקנה 15 דורשת

תקנה 15 לתקנות אבטחת מידע מסדירה מיקור חוץ. לפני שמעבירים מידע, חותמים עם הספק על הסכם בכתב. ההסכם צריך לכלול:

• המטרה: בדיקת פערי שכר וזכויות סוציאליות, ושום שימוש אחר.
• אילו שדות מועברים, ורק אותם.
• איסור העברה הלאה, לקבלני משנה או לספקי ענן, בלי אישור בכתב.
• אמצעי האבטחה שהספק מתחייב להם, לפי רמת האבטחה של המאגר.
• זכות של המעסיק לבדוק שהספק עומד בהסכם.
• מחיקה או החזרה של כל העותקים, כולל גיבויים, בסוף הפרויקט.

מה עוד כדאי להכניס להסכם, פירטתי במדריך הסכם DPA לעיבוד מידע.

צמצום: לא כל כרטיס העובד

השאלה הראשונה היא לא איך מעבירים, אלא מה. בדיקת פנסיה לא צריכה כתובת מגורים, מצב משפחתי או אישורי מחלה. מסירים כל שדה שהבדיקה לא צריכה.

אפשרות	איך	מתי מתאים
מספר פנימי במקום שם ות"ז	המעסיק מחליף פרטים מזהים במספר עובד, ושומר את המפתח אצלו	כשהבדיקה היא חישובית ולא צריך הצלבה מול גורם חיצוני
קובץ מזוהה תחת הסכם	מעבירים עם ת"ז, אחרי הסכם, בדיקת ספק והצפנה	כשצריך הצלבה מול קופות פנסיה או רשות המסים

שימו לב: קובץ עם מספרים פנימיים הוא לא קובץ אנונימי. המעסיק יכול לזהות כל שורה. הוא מקטין מאוד את הנזק אם הקובץ דולף, אבל לא מוציא אתכם מהחוק.

האם צריך הסכמה של העובדים?

בדרך כלל, העברה לספק שבודק את השכר בשביל המעסיק היא חלק מניהול יחסי העבודה, ונעשית לאותה מטרה שבשבילה המידע נאסף. ובכל זאת, הרשות להגנת הפרטיות מתייחסת בזהירות להסכמה של עובד, בגלל פערי הכוח מול המעסיק. לכן חשוב יותר לעמוד בכללי האבטחה ולהיות שקופים מאשר להחתים כל עובד על טופס. עדכנו את העובדים בנוהל או במדיניות הפרטיות הפנימית שהארגון נעזר בספקים חיצוניים, ושהם מחויבים לסודיות.

מה תיקון 13 שינה

מאז 14.8.2025, לרשות להגנת הפרטיות יש סמכות להטיל עיצומים כספיים גבוהים בהרבה, גם על העברת מידע בלי הסכם ובקרה. דליפה אצל ספק לא מגינה על המעסיק: השאלה תהיה מה הוא עשה לפני שהעביר. הסבר מלא על התיקון תמצאו בעמוד תיקון 13 לחוק הגנת הפרטיות.

5 צעדים לפני ששולחים את הקובץ

1. צמצום: אפשר לעבוד עם מספרים פנימיים? הסירו שמות ות"ז.
2. בדיקת הספק: בקשו פירוט של אמצעי האבטחה. הסמכת ISO 27001 היא סימן טוב, לא תחליף לבדיקה.
3. הסכם חתום לפני ההעברה, לא אחריה.
4. ערוץ מאובטח: לא מייל רגיל. מערכת שיתוף מוצפנת עם אימות דו-שלבי.
5. תיעוד: מה הועבר, למי, מתי ולמה. את זה מוסיפים לנהלי השמירה על מאגר המידע.

שאלות נפוצות על העברת מידע אישי לצד שלישי

המידע במאמר זה נועד לידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל עניין או סוגיה משפטית יש להתייעץ עם עורך דין.